Bakit ang DHCP reservation ay hindi static IP para sa iyong VPN server

Inilipat ko ang isang home VPN box mula Wi-Fi papuntang Ethernet at nagbago ang “permanente” nitong address nang gabing iyon. Walang sira sa router. Ang reservation ay tumutugma sa wireless adapter, at wala na ang adapter na iyon sa landas.

May ikalawang kalahati ang parehong maling akala. Ang pag-aayos ng LAN address ay walang ginagawa para sa address na kinokonektahan ng mga kaibigan mo, at wala itong kinalaman sa pribadong pool na ibinibigay ng VPN sa mga kliyente. Tatlong address, tatlong hiwalay na paraan ng pagpalya, at isa lang sa kanila ang trabaho ng reservation.

Tumutugma ang reservation sa kliyente, hindi sa device

Sa DHCPv4 ang reservation ay nakatali sa hardware address ng kliyente; sa DHCPv6 nakatali ito sa DUID na inaasahang itatago ng kliyente. Ang field na hostname ay label para sa mga tao. Ang tunay na inihahambing ng router ay ang identifier na dumarating sa request.

Basahin ang entry bilang kondisyon: kapag humingi ang identifier na ito, ibigay ang address na ito. Pinapanatili ng mga renewal ang parehong lease habang nananatili ang tugma, at ang reboot ay humihingi lang muli. Kapag nagbago ang identifier, nalalampasan ng request ang reservation at kinukuha ng kliyente ang inaalok ng dynamic na pool. Walang error, walang babala, ibang address lang.

Malinaw na ipinapakita ng OpenWrt ang hugis. Isang block na config host sa /etc/config/dhcp ang nagbubuklod ng pangalan, MAC at address, at ang dokumentasyon ng mga static na lease ang nagpapaliwanag kung paano nakikipag-ugnayan ang entry na iyon sa pool. Itinatago ng ibang router ang parehong tatlong field sa likod ng iba’t ibang label.

Kung saan tahimik na nahuhulog ang tugma

Ang pagpapalit ng hardware ang karaniwang kaso. Palitan ang NIC, o ilipat ang makina sa pagitan ng Ethernet at Wi-Fi, at nagbabago rin ang address na nakikita ng router. Nananatili sa listahan ang lumang reservation, mukha pa ring tama.

Ang muling pag-install ang ikalawang kaso, at ito ang pinakamalakas kumagat sa IPv6. Ang bagong install ay maaaring gumawa ng bagong DUID habang valid pa ang lumang IPv4 lease, kaya nabubuhay pa nang ilang sandali ang v4 address at tumitigil nang umiral ang v6 entry nang walang anumang nakikitang pag-edit.

Ang ikatlo ay naka-pin na identifier ng kliyente. Maraming DHCP client ang nagpapahintulot na magtakda ng identifier string sa halip na gamitin ang MAC. Kung binitawan ng upgrade o ng muling pagsulat ng configuration ang setting na iyon, nawawala ang tugma kahit hindi gumalaw ang makina.

Ang ikaapat ay duplikasyon: lumang block at bagong block para sa parehong host. Sumasagot ang server gamit ang tuntuning tumutugma, madalas ang address sa pool na gusto mong iwasan. Burahin ang lumang entry sa halip na magdagdag ng pangalawa.

Configuration sa gilid ng host at ang halaga nito

Ang pagtatakda ng address sa host ay tuluyang nag-aalis ng tanong tungkol sa tugma. Aakyat ang interface gamit ang address na iyon tumugon man o hindi ang DHCP, at iyon ang gusto mo mula sa makina na dapat maabot pagkatapos mag-reboot ang router.

Ang halaga ay pagmamay-ari. Ikaw na ngayon ang nagbibigay ng prefix, gateway at resolvers, at kailangan mong itago mismo ang address sa labas ng dynamic na pool. Sa Ubuntu na may netplan, dinadala ito ng /etc/netplan/01-vpn.yaml:

network:
  version: 2
  ethernets:
    eth0:
      dhcp4: false
      addresses: [192.168.50.10/24]
      routes:
        - to: default
          via: 192.168.50.1
      nameservers:
        addresses: [192.168.50.1]

Nararating ng mga NetworkManager user ang parehong estado gamit ang nmcli con mod "Wired connection 1" ipv4.method manual ipv4.addresses 192.168.50.10/24 ipv4.gateway 192.168.50.1, pagkatapos ang nmcli con up "Wired connection 1". Gamitin ang netplan sa netplan try sa unang pagtatangka sa halip na netplan apply; ang maling na-type na gateway ay nag-aalis ng kahon sa network at iniiwan kang naghahanap ng console.

Panatilihin pa rin ang tugmang reservation. Hindi ito kalabisan. Itinatala ng entry ang address sa gilid ng router at pinipigilan ang DHCP server na ibigay ang address na iyon sa bisitang device kung may magpalawak ng pool mamaya.

Ang matatag na LAN address ay hindi pampublikong endpoint

Itutok ang port forward sa 192.168.50.10 at ang tuntunin ay makakaligtas sa bawat pagbabago sa gilid ng LAN. Hindi ka nito binibigyan ng matatag na internet address. Ang pampublikong IP mo ay pag-aari ng ISP at maaaring gumalaw sa muling pagkonekta o pagpapalit ng modem, iyon ang gamit ng dynamic DNS.

Sa likod ng carrier-grade NAT walang pampublikong IPv4 na maipapasa, at walang reservation na gumagawa niyon. Tingnan muna ang WAN page ng router: kung ang address ay nasa shared range, hindi maaaring gumana ang papasok na forwarding, gaano man kalinis ang reservation.

Ang ikatlong address ay ang tunnel pool, madalas isang bagay na tulad ng 10.8.0.0/24. Umiiral lamang ang mga address na iyon sa loob ng tunnel at hindi kailanman lumalabas sa LAN. Ang pagkalito sa mga ito at sa LAN address ng server ang paraan kung paanong ang isang port ay nauuwi sa pag-forward sa isang kliyenteng online lamang habang nakakonekta.

Suriin ang landas sa ayos ng pagkasira nito

Magsimula sa router. Ihambing ang entry sa lease table sa target ng reservation; kung kumuha ang server ng address sa pool, mali ang identifier, at ip link show sa host ang magbibigay sa iyo ng halagang ihahambing.

Pagkatapos ang host. Dapat iulat ng ip -4 addr show eth0 ang inaasahang address at prefix. Ang pangalawang address sa parehong interface ay karaniwang nangangahulugang tumatakbo pa rin ang DHCP sa tabi ng iyong static configuration.

Pagkatapos ang forwarding. Kumpirmahin na ang destinasyon ay katumbas pa rin ng address na bini-verify mo lang, at kumpirmahin na may nakikinig gamit ang ss -lntp. Ang forward sa saradong port ay eksaktong mukhang sirang forward mula sa labas.

Tapusin mula sa labas, sa teleponong patay ang Wi-Fi. Ang isang pagsubok na iyon ang naghihiwalay ng “mali ang lokal na address” at “sira ang pampublikong maabot”, ang dalawang problemang paulit-ulit na pinagsasama ng setup na ito.

Isulat ang tatlong address, LAN, pampubliko at tunnel pool, at markahan kung aling sistema ang may-ari ng bawat isa. Kapag nabigo ang isang koneksyon sa susunod na buwan, malalaman mo kung alin ang susuriin sa halip na palitan ang tatlo nang sabay.